SoftEther vietinis tiltas ar SecureNAT: ką įjungti

Atidarykite SoftEther Manager, ir pirmasis tikras sprendimas dėl mazgo yra ne žymės langelis, o topologijos klausimas. Vietinis tiltas prijungia tą mazgą prie fizinio adapterio ir leidžia esamam segmentui tiekti adresus, o SecureNAT suteikia mazgui savo virtualų maršrutizatorių, NAT ir DHCP. Pasirinkimas tarp jų keičia, iš kur ateina adresai ir kuris įrenginys už juos atsako. Įjungti abu ir tikėtis, kad vienas laimės, yra kelias, kuriuo veikianti laboratorija tampa palaikymo gija.

Pradėkite nuo to mazgo, kurį tikrai redaguojate

Manager rodo serverių ir mazgų medį, ir lengva sukonfigūruoti numatytąjį mazgą, kai klientai jungiasi prie kito, kitokio pavadinimo mazgo. Spustelėkite mazgą, perskaitykite jo pavadinimą ir patvirtinkite, kad žemiau išvardytos sesijos yra tie klientai, kuriems norite aptarnauti. Šis vienas patikrinimas užkerta kelią didžiajai daliai painiavos, kuri vėliau priskiriama protokolui.

Tada nuspręskite, ko klientui reikia iš tolimojo galo. Bendras Ethernet elgesys su transliacija ir LAN paslaugomis rodo į tiltą, maršrutizuota privati prieiga prie mažo adresų diapazono rodo į SecureNAT, o išėjimas į internetą yra maršrutizavimo sprendimas, kurį abi schemos gali prastai išlaikyti.

Užsirašykite atsakymą prieš ką nors spustelėdami, nes šie du nustatymai nėra keičiami ir atšaukimas užima daugiau laiko nei sprendimas. Dvi minutės rašymo sutaupo valandą prisijungimų iš naujo.

Ką vietinis tiltas daro adresavimui

Vietinis tiltas prijungia mazgą prie fizinio adapterio, todėl mazgas tampa to Ethernet segmento dalimi. Klientai gauna adresus iš to, kas segmentui jau tarnauja, o jų sietuvas yra segmento maršrutizatorius. Kliento požiūriu jis prisijungė prie biuro LAN, su visu tuo susijusiu pasiekiamumu ir visu pavojumi.

Tai taip pat reiškia, kad tiltui reikia tikro adapterio su tinkama tvarkyklės parama, o administratorius turi būti įgaliotas išplėsti tą segmentą. VPN prisijungimas įrodo autentifikavimą, o ne teisę įdėti mazgą į gamybinį VLAN. Patikrinkite, ar tvarkyklės pavadinimas atitinka numatomą adapterį, nes netinkamo prievado tiltinimas greitai išjungia segmentą. Jei adapterių sąrašas tuščias arba tiltas praneša apie klaidą, priežastis paprastai susijusi su tvarkykle ar teisėmis, o ne su kriptografija.

Skaitykite tiltų lentelę iš komandinės eilutės, kai grafinis medis nevienareikšmis. Išvestis įvardija adapterį, ko medis ne visada daro.

vpncmd /SERVER localhost /HUB VPN /CMD BridgeList
vpncmd /SERVER localhost /HUB VPN /CMD SessionList

Tuščias tiltų sąrašas su prijungtomis sesijomis yra naudingas vaizdas: klientai yra virtualaus mazgo viduje ir niekas jo dar neplečia į segmentą.

Ką prideda SecureNAT ir ką jis paslepia

SecureNAT suteikia mazgui virtualų maršrutizatorių, NAT funkciją ir DHCP paslaugą, viską SoftEther proceso viduje. Klientai gauna adresus iš virtualaus DHCP diapazono, virtualus maršrutizatorius atsako už numatytąjį sietuvą, o išeinantis srautas verčiamas. Fizinis adapteris nedalyvauja, todėl tai veikia priegloboje su viena tinklo plokšte ir be jungiklio konfigūracijos.

Kaina ta, kad virtualūs adresai priklauso mazgui ir niekam daugiau. Biuro LAN mašina negali be pagalbos maršrutizuoti į kliento SecureNAT adresą, o viskas, kas registruoja šaltinio adresus, mato išverstą SoftEther prieglobos adresą. Jei jūsų prieigos taisyklės ar audito pėdsakas priklauso nuo tikrojo kliento adreso, tai dizaino pakeitimas, o ne smulkmena. Tai taip pat nulemia, ar šaltinio adreso taisyklė kada nors matys klientą.

Jis taip pat yra DHCP serveris. Paleidimas segmente, kuriame jau yra vienas, arba to segmento tiltinimas tuo pačiu metu sukuria du atsakiklius ir nenuspėjamas nuomojimo trukmes. Vadove abi funkcijos traktuojamos kaip atskiri pasirinkimai būtent dėl šios priežasties.

Patikrinkite, ką mazgas šiuo metu aptarnauja, prieš įjungdami ką nors kita. Kiekviena komanda išspausdina dabartinę būseną, o ne numatomą.

vpncmd /SERVER localhost /HUB VPN /CMD SecureNatStatusGet
vpncmd /SERVER localhost /HUB VPN /CMD NatGet
vpncmd /SERVER localhost /HUB VPN /CMD DhcpGet

Įjungti vieną nesugriaunant kito

Pasirinkite schemą, įjunkite ją, o kitą palikite išjungtą. Mazgas, kuriame aktyvūs ir tiltas, ir SecureNAT, yra mazgas su dviem galimais atsakymais į tą patį klausimą, ir klientas patikės tuo, kuris ateis pirmas. Pereinant nuo vieno prie kito, išjunkite senąją funkciją ir prijunkite klientą iš naujo, o ne manykite, kad naujas nustatymas veiks esamai sesijai.

Sudėliokite pakeitimą taip, kad klientų telkinys nesutaptų su LAN diapazonu. Persidengiantys potinkliai yra antroji dažniausia priežastis tunelio, kuris prisijungia ir tada nieko nepasiekia, ir jie nematomi, kol nesugretinsite abiejų adresų planų.

Tada prisijunkite iš kliento iš naujo ir perskaitykite, ką jis gavo, nes mazgo požiūris į sesiją nėra kliento požiūris į savo tinklą. Prisijungimas iš naujo yra vienintelis patikimas būdas priversti naują nuomą.

Patikrinkite sietuvą ir sprendėją kliente

Sėkminga autentifikacija pasako, kad kredencialai veikia ir mazgas priėmė sesiją. Ji nieko nesako apie tai, ar klientas ką nors pasiekia, nes tai priklauso nuo gauto adreso, kaukės, sietuvo ir DNS serverio. Perskaitykite šias keturias reikšmes kliente prieš vėl liesdami serverio nustatymą.

Windows sistemoje adapterio informacija rodo nuomą ir sprendėją, o maršrutų lentelė rodo, ar tunelis tikrai yra numatytasis kelias.

ipconfig /all
route print -4
nslookup intranet.corp.internal

Linux kliente ta pati informacija ateina iš adresų, maršrutų ir sprendėjo failų. Numatytasis maršrutas yra reikšmė, nulemianti, ar srautas apskritai išeina per tunelį. Jei sietuvas rodo į biuro maršrutizatorių, o tunelis tikisi nešti srautą, topologija pavadinime tiltinama ir praktiškai sulaužyta. Pirmiausia pataisykite adresų šaltinį, tada dar kartą išbandykite programą ir tik po to svarstykite kito režimo keitimą.